WhatsApp mesajlarda gizlice konum bilgisi mi paylaşıyor?

Afrika'dan bir siber güvenlik uzmanı, WhatsApp uygulaması üzerinden gönderilen mesajların kişi paylaşmadığı halde konum bilgilerini de karşı tarafa ilettiğini öne sürdü.

Elorm Daniel adlı araştırmacı, X'te yaptığı paylaşımda, iPhone 12 Pro Max cihazı üzerinde yaptığı adli incelemeye dair detayları paylaştı.

WhatsApp üzerinden yaptığı bir yazışmayı inceleyen Daniel, verilerin metadatasının yazıştığı kişinin konumunu da gösterdiğini iddia etti.

WhatsApp'ın topladığı verilerin "konum bilgisi" ile sınırlı kalmadığını belirten Daniel, bir grubu kimin oluşturduğu, ne zaman oluşturduğu, kimlerin eklendiği ve çıktığı gibi tüm bilgilerin kişi gruptan çıksa bile uygulamadaki metadatada kaldığını yazdı.

Daniel'in iddiaları özellikle de Türk basınında geniş yer buldu. Anadolu Ajansı (AA), konuyu WhatsApp'a sorduğunda şirket, kullanıcıların verdiği izinler dışında konum gibi bilgileri paylaşmadığı yönünde cevap verdi.

Peki WhatsApp mesajlarının metadataları, kullanıcı izin vermediği halde konum gibi bilgileri içeriyor mu? İşte konuyla ilgili bilinenler:

'Metadata' nedir?

"Metadata" veya daha Türkçe bir ifadeyle "metaveri," kabaca, veriler hakkında bilgi veren verilere deniyor.

Metadatalar bir veri kümesinin bağlamını, kalitesini, yapısını ve erişilebilirliğini tanımlamaya yardımcı olarak içeriği bulmayı ve kullanmayı kolaylaştırıyor. Örneğin fotoğraflara ait metadatalar, fotoğrafın çekildiği tarih ve saati, kamera ayarlarını veya konumu içerebilir.

Sadece mesajlaşmalar söz konusu olduğunda ise gönderen, alıcı, mesajın gönderildiği tarih gibi bilgiler metadata kapsamında saklanır.

WhatsApp mesajlarında da mesajın içeriği uçtan uca şifrelemeyle korunsa bile bu türden metadatalar saklanıyor. Yani kullanıcı mesajlarını silse de mesajı gönderen, alıcı ve gönderilen tarih ile saat gibi bilgiler kurtarılabiliyor.

Uçtan uca şifreleme nedir ve WhatsApp mesajları nasıl korunur?

Meta, popüler mesajlaşma uygulamasına uçtan uca şifreleme özelliğini ilk olarak 2014'te getirmeye başladı. Bugün kullanıcılar uygulamada başka bir kişiyle sohbet ederken bu şifreleme özelliği kullanılıyor.

Uçtan uca şifreleme özelliği, gönderilen içeriklerin yalnızca gönderen ve teslim alan kişi tarafından okunabilmesini ve dinlenebilmesini sağlıyor. Böylece WhatsApp dahil olmak üzere hiçbir üçüncü taraf, mesajların içeriğine erişemiyor.

Bu özellik kabaca şöyle işliyor: Mesajlaşan taraflar için birer çift anahtar üretiliyor. Gönderilen mesajlar şifreleniyor ve bu şifre yalnızca alıcının elindeki anahtarla açılabiliyor. Yani üçüncü taraflar bu anahtara sahip olmadığı için mesajın içeriğine erişemiyor.

Daha net anlaşılabilmesi için X ve Y adlı iki kullanıcı hayal edelim. X ve Y mesajlaşırken WhatsApp gibi uçtan uca şifrelemeli bir uygulama kullanıyor olsun. Mesajları şifreleyebilen ve şifresini çözebilen anahtarlar, iki kullanıcının da cihazında kayıtlı kalır. Uygulama X'in telefonunda bir anahtar ve Y'nin telefonunda bir anahtar kaydeder. X'in telefonu mesajı anahtarla şifreler, ardından şifrelenmiş mesajı Y'nin telefonuna iletir. Y'nin telefonu anahtarı otomatik olarak devreye sokar ve mesajın şifresini çözer. Böylece Y, mesajın içeriğini görebilir.

WhatsApp'ta tüm bu süreç otomatik işliyor. Yani kullanıcının mesajlarını güvenceye almak için herhangi bir ayarı etkinleştirmesine gerek kalmıyor.

Daha önce konuyla ilgili Euronews Türkçe'ye konuşan siber güvenlikçi ve teknolojist Ahmet Alphan Sabancı, "Teknik olarak WhatsApp herhangi bir şekilde bir kullanıcının mesajlarına erişme veya bunları bir kuruma teslim etme kapasitesine sahip değil. Kullandıkları Signal Protokolü ile yapılan uçtan uca şifreleme WhatsApp’ın elinde herhangi bir mesaj veya görüşme içeriğini tutmasına izin vermiyor," demişti.

WhatsApp'ın yanı sıra Facebook Messenger, Skype ve Signal gibi popüler mesajlaşma uygulamalarında kullanılan bu şifreleme yöntemi başlangıçta Axolotl Ratchet Protokolü olarak biliniyordu.

Bu protokol, açık kaynaklı yazılım firması Open Whisper Systems tarafından geliştirilmişti. Open Whisper Systems, bugün gizlilik özellikleriyle öne çıkan Signal uygulamasının geliştiricisi olan Signal Vakfı'nın bir parçası. Bu yüzden WhatsApp'ın da kullandığı söz konusu şifreleme yöntemine Signal Protokolü de deniyor.

Grup sohbetlerinde hangi bilgiler tutulur?

WhatsApp, yerel veritabanında gruplarla ilgili de metadata tutuyor. Cihazdaki WhatsApp veritabanı (msgstore.db) içinde aaklanan veriler şunları içeriyor:

- Grubun oluşturulma tarihi

- Grubu kimin oluşturduğu

- Grup oluşturulurken kullanılan grup ID (JID)

- Gruba kimin eklendiği, kim tarafından eklendiği ve gruptan kimin çıktığı

- Grup adının önceki halleri ve değişiklik zamanları

- Grubun içindeki mesajların ne zaman, kim tarafından gönderildiği ve mesajın türü.

Bu bilgiler sayesinde adli incelemelerde bir kişinin bir gruba gerçekten katılıp katılmadığı, grupta aktif olup olmadığı, hangi saatlerde mesajlaştığı ve grubun kimler tarafından yönetildiği gibi bilgiler elde edilebilir. Mesaj içeriği olmasa bile, bu metadatalar herhangi bir soruşturmada güçlü kanıt oluşturabilir.

Dolayısıyla siber güvenlik araştırmacısı Daniel'ın WhatsApp'la ilgili paylaşımında grup sohbetleriyle ilgili iddiaları halizhazırda bilinen şeyler.

Paylaşılan görseller konum bilgisi içerir mi?

Daniel'ın paylaşımlarına dayanarak bazı hesaplar, WhatsApp'tan iletilen medya içeriklerinin (fotoğraf ve video) konum bilgisini sakladığını öne sürmeye başladı.

Ancak konuyla ilgili daha önce yapılmış bazı testler mevcut. WhatsApp, kullanıcı bir fotoğrafı normal “resim” olarak gönderdiğinde fotoğrafın orijinal metadata’sının büyük bir kısmını (özellikle GPS konumu) temizliyor ve alıcıya göndermiyor.

Ancak söz konusu paylaşımda Daniel'ın iddiası da zaten bu değil. Daniel telefonundaki her bir fotoğraf, video, kayıt ve ekran görüntüsünün dosya oluşturulduğunda bulunan yerin tam konumunu da içerdiğini vurguladı. Yani bu iddiası WhatsApp'ta paylaşılan görsellerle değil, iPhone 12 Pro Max cihazındaki bilgilerle ilgili. Daniel, "Telefon, her bir medya dosyası için otomatik olarak GPS koordinatlarını kaydediyor. Bu, soruşturmacıların fotoğraf çektiğiniz, video kaydettiğiniz, ekran görüntüsü aldığınız veya cihazda herhangi bir medya oluşturduğunuz anda tam olarak nerede olduğunuzu belirleyebilecekleri anlamına geliyor," demişti.

Öte yandan araştırmacının bu yazdıkları da uzun süredir bilinen bir gerçek. Bu bir güvenlik açığı değil, standart bir özellik. Akıllı telefonlarda (iPhone ve Android) kamera ayarlarında "Konum Etiketleme" (Geotagging) açıksa, çekilen her fotoğraf ve videonun EXIF verisine GPS koordinatları işleniyor.

İstisna: WhatsApp'ta canlı konum paylaşımı

Öte yandan tüm bu bilgilerin kapsamadığı önemli bir istisna var: Canlı konum paylaşımı.

WhatsApp'ta "Canlı Konum" (Live Location) paylaştığınızda, süreç standart bir metin mesajından farklı işliyor ve hem sunucu tarafında hem de cihazlarda farklı izler bırakıyor.

Bu noktada WhatsApp sunucuları içeriği göremese de metadata olarak, kimin kiminle konum paylaştığı, paylaşımın ne zaman başladığı ve ne zaman bittiği bilgilerini tutuyor.

Ancak canlı konumun gönderildiği kişinin cihazında durum farklı. Canlı konum paylaşımı bittiğinde bile bu işlem telefonun yerel veritabanına işleniyor. Cihazın önbelleğinde veya loglarında, o paylaşım süresi boyunca alınan son konum verisi bulunabiliyor.

Daniel'ın paylaşımındaki konum verisi de bu şekilde ortaya çıkarılmış olabilir.